Phạt tối đa 50 triệu đồng nếu xử lý dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể

Chính phủ ban hành Nghị định số 330/2026/NĐ-CP ngày 19/8 quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, trong đó quy định nhiều mức xử phạt đối với các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân.

Nghị định áp dụng với nhiều nhóm cá nhân, tổ chức

Nghị định số 330/2026/NĐ-CP áp dụng đối với cá nhân, tổ chức Việt Nam và nước ngoài có hành vi vi phạm hành chính trong lĩnh vực an ninh mạng, bảo vệ dữ liệu cá nhân trong phạm vi lãnh thổ, vùng biển của Việt Nam và trên tàu bay, tàu biển mang quốc tịch Việt Nam, trừ trường hợp điều ước quốc tế có quy định khác.

Đối tượng áp dụng gồm doanh nghiệp, tổ chức được thành lập theo Luật Hợp tác xã, Luật Đầu tư; tổ chức chính trị xã hội, tổ chức xã hội nghề nghiệp và các tổ chức xã hội khác.

Nghị định cũng áp dụng với doanh nghiệp nước ngoài, chi nhánh, văn phòng đại diện, địa điểm kinh doanh của doanh nghiệp nước ngoài cung cấp dịch vụ viễn thông, Internet, nội dung trên không gian mạng, công nghệ thông tin, an ninh mạng, dịch vụ xuyên biên giới; cơ quan, tổ chức nước ngoài trực tiếp tham gia hoặc liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam và người gốc Việt Nam chưa xác định được quốc tịch đang sinh sống tại Việt Nam đã được cấp giấy chứng nhận căn cước.

Các điểm cung cấp dịch vụ viễn thông, trò chơi điện tử công cộng, truy nhập Internet công cộng; doanh nghiệp cung cấp dịch vụ nội dung thông tin trên mạng viễn thông di động và không gian mạng; tổ chức sử dụng tần số vô tuyến điện; nhà đăng ký tên miền, tổ chức, doanh nghiệp đăng ký tên miền; chủ quản, đơn vị vận hành hệ thống thông tin và các tổ chức khác theo quy định pháp luật cũng thuộc phạm vi áp dụng.

Hộ kinh doanh, hộ gia đình, cộng đồng dân cư vi phạm hành chính theo Nghị định bị áp dụng mức phạt tiền như đối với cá nhân.

Về quản lý, Bộ Quốc phòng phụ trách an ninh mạng đối với nhiệm vụ quân sự, quốc phòng; Bộ Công an quản lý đối với các đơn vị quân đội có hoạt động dân sự, kinh tế theo thẩm quyền. Với nội dung giao thoa, Bộ Công an và Bộ Quốc phòng thống nhất quy chế phối hợp.

Theo Nghị định, các hành vi bị xử phạt gồm vi phạm nguyên tắc bảo vệ dữ liệu cá nhân và các hành vi bị nghiêm cấm; lợi dụng hoạt động bảo vệ dữ liệu cá nhân để thực hiện hành vi vi phạm pháp luật; xử lý dữ liệu cá nhân gây ảnh hưởng đến an ninh trật tự; vi phạm nghĩa vụ bảo vệ dữ liệu cá nhân của chủ thể dữ liệu cá nhân.

Nghị định cũng quy định xử phạt đối với các hành vi vi phạm về sự đồng ý của chủ thể dữ liệu cá nhân; thủ tục thực hiện quyền của chủ thể dữ liệu cá nhân; quyền rút lại sự đồng ý và quyền hạn chế xử lý dữ liệu cá nhân; quyền xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân.

Bên cạnh đó là các quy định về thu thập, cung cấp, công khai, xóa, hủy, khử nhận dạng và chuyển giao dữ liệu cá nhân; mua, bán trái phép dữ liệu cá nhân; thông báo vi phạm; đánh giá tác động xử lý dữ liệu cá nhân; chuyển dữ liệu cá nhân xuyên biên giới; chỉ định nhân sự, bộ phận bảo vệ dữ liệu cá nhân; cung cấp dịch vụ bảo vệ dữ liệu cá nhân và kinh doanh dịch vụ xử lý dữ liệu cá nhân.

Phạt đến 50 triệu đồng nếu xử lý dữ liệu chưa được đồng ý

Đáng chú ý, Nghị định quy định phạt tiền từ 30-50 triệu đồng đối với một số hành vi vi phạm quy định về sự đồng ý của chủ thể dữ liệu cá nhân.

Cụ thể, mức phạt này áp dụng đối với hành vi xử lý dữ liệu cá nhân sau khi thu thập nhưng chưa có sự đồng ý của chủ thể dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác.

Mức phạt từ 30-50 triệu đồng cũng áp dụng đối với hành vi kèm theo điều kiện bắt buộc, từ chối cung cấp dịch vụ nếu chủ thể dữ liệu cá nhân không đồng ý xử lý dữ liệu cá nhân vào các mục đích khác không liên quan đến nội dung thỏa thuận cung cấp dịch vụ đó.

Các hành vi thiết lập phương thức mặc định đồng ý, tạo ra chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý cũng bị xử phạt. Việc xin sự đồng ý không được thể hiện bằng phương thức rõ ràng, cụ thể, không bảo đảm khả năng kiểm chứng về việc xác định chủ thể đã thực hiện sự đồng ý, thời điểm và nội dung được đồng ý cũng thuộc nhóm hành vi này.

Nghị định đồng thời yêu cầu phải cung cấp thông tin minh bạch về loại dữ liệu được xử lý, mục đích xử lý, quyền và nghĩa vụ của chủ thể dữ liệu cá nhân. Trường hợp không cung cấp đầy đủ thông tin, dẫn đến sự đồng ý không dựa trên cơ sở tự nguyện và biết rõ cũng bị xử phạt.

Hình thức xin sự đồng ý phải bảo đảm chủ thể dữ liệu cá nhân được đồng ý với từng mục đích xử lý. Việc không ghi nhận, lưu trữ nhật ký về sự đồng ý, không chứng minh được đã có sự đồng ý khi có yêu cầu của chủ thể dữ liệu cá nhân hoặc cơ quan Nhà nước có thẩm quyền cũng bị phạt.

Ngoài ra, hành vi không thông báo cho chủ thể dữ liệu cá nhân biết dữ liệu cá nhân nhạy cảm của họ đang được xử lý cũng thuộc nhóm vi phạm bị xử phạt từ 30-50 triệu đồng.

Đáng chú ý, mức phạt từ 50-70 triệu đồng được áp dụng đối với hành vi cố ý tiếp tục xử lý dữ liệu cá nhân sau khi chủ thể đã yêu cầu ngừng, hạn chế xử lý hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản.

Mức phạt này cũng áp dụng đối với hành vi thu thập, xử lý dữ liệu cá nhân khi chủ thể giữ im lặng hoặc không phản hồi trước yêu cầu xin sự đồng ý, nhưng tự ý coi sự im lặng là đồng ý.

Ngoài phạt tiền, Nghị định quy định tịch thu tang vật, phương tiện vi phạm hành chính đối với một số hành vi. Người vi phạm có thể bị buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân được thu thập, xử lý khi không có sự đồng ý hợp lệ; buộc nộp lại khoản thu bất hợp pháp có được do vi phạm.

Phạt đến 60 triệu đồng với hành vi cản trở bảo vệ dữ liệu cá nhân

Đối với vi phạm nguyên tắc bảo vệ dữ liệu cá nhân và các hành vi bị nghiêm cấm, Nghị định quy định phạt tiền từ 20-40 triệu đồng đối với hành vi xử lý dữ liệu cá nhân không đúng phạm vi, không phù hợp với mục đích đã được xác định, xin sự đồng ý, thỏa thuận hoặc vượt quá mức cần thiết để thực hiện mục đích đó.

Mức phạt này cũng áp dụng đối với hành vi không bảo đảm tính chính xác của dữ liệu cá nhân; không chỉnh sửa, cập nhật, bổ sung kịp thời khi phát hiện sai sót; lưu trữ dữ liệu vượt quá thời gian cần thiết hoặc không chủ động phòng ngừa, phát hiện, phối hợp kịp thời với cơ quan có thẩm quyền trong xử lý vi phạm pháp luật về bảo vệ dữ liệu cá nhân.

Đối với hành vi chống đối, cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân và sử dụng dữ liệu cá nhân của người khác để thực hiện hành vi trái pháp luật, mức phạt từ 40-60 triệu đồng.

Nghị định cũng quy định các biện pháp khắc phục hậu quả, gồm buộc hủy, xóa dữ liệu cá nhân đã xử lý không đúng phạm vi, không đúng mục đích hoặc lưu trữ vượt thời hạn; buộc nộp lại khoản thu bất hợp pháp; buộc công khai xin lỗi chủ thể dữ liệu cá nhân trên phương tiện thông tin đại chúng và buộc chỉnh sửa, cập nhật, bổ sung dữ liệu cá nhân cho chính xác.

Nghị định số 330/2026/NĐ-CP có hiệu lực thi hành kể từ ngày 19/8/2026.